初心者向け：Spring BootとMyBatisで実践！SQLインジェクションのリスクと防止策

SELECT COUNT(*) > 0 FROM users WHERE username = 'admin' AND password = 'password';

SELECT COUNT(*) > 0 FROM users WHERE username = '' OR '1'='1' -- AND password = '任意の値';

@Select("SELECT COUNT(*) > 0 FROM users WHERE username = '${username}' AND password = '${password}'")
boolean vulnerableAuthenticate(@Param("username") String username, @Param("password") String password);

@Select("SELECT COUNT(*) > 0 FROM users WHERE username = #{username} AND password = #{password}")
boolean secureAuthenticate(@Param("username") String username, @Param("password") String password);

if (!username.matches("^[a-zA-Z0-9]+$")) {
    throw new IllegalArgumentException("不正な入力です");
}

public String buildWhereClause(String username, String email) {
    String whereClause = "WHERE 1=1";
    if (username != null) {
        whereClause += " AND username = '" + username + "'";
    }
    if (email != null) {
        whereClause += " AND email = '" + email + "'";
    }
    return whereClause;
}

@Select("SELECT * FROM users ${whereClause}")
List<User> findUsers(@Param("whereClause") String whereClause);

<select id="findUsers" resultType="User">
    SELECT * FROM users
    WHERE 1=1
    <if test="username != null">
        AND username = #{username}
    </if>
    <if test="email != null">
        AND email = #{email}
    </if>
</select>

package com.youtube.security.app.security_demo.controller;

import com.youtube.security.app.security_demo.repository.SqlInjectionMapper;

import org.springframework.web.bind.annotation.PostMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.bind.annotation.RestController;

/**
 * このコントローラーは、SQLインジェクションの脆弱性がどのように発生するかを示し、
 * MyBatisを使用した安全な実装例を提供します。
 *
 * SQLインジェクションは、攻撃者が悪意のあるSQLコードをクエリに注入することで、
 * 任意のSQL文をデータベース上で実行可能にする攻撃の一種です。
 *
 * 安全な実装例:
 * - プレースホルダー付きのパラメータ化されたクエリを使用する
 *  -> クエリに直接ユーザー入力を埋め込まず、プレースホルダー（#{}）を使用することでSQLインジェクションを防止します。
 * - ユーザー入力の検証とサニタイズを行う
 *  -> ユーザーが入力できる文字種を制限したり、危険な文字や記号の除去・エスケープを行うことで安全性を高めます。
 * - 文字列操作での動的SQL生成を避ける
 *  -> 動的SQLを組み立てる際に文字列操作（+演算子やString.format）を使用すると、SQLインジェクションのリスクが高まります。
 *  -> クエリを文字列操作で動的に生成せず、安全な方法で組み立てることが重要です。
 *  -> Mybatisの場合、デフォルトで文字列操作を使用してクエリを直接構築する方法を避ける設計になっています。
 *
 * ※このクラスは教育目的でのみ使用してください。
 */
@RestController
public class SqlInjectionController {

    private final SqlInjectionMapper sqlInjectionMapper;

    public SqlInjectionController(SqlInjectionMapper sqlInjectionMapper) {
        this.sqlInjectionMapper = sqlInjectionMapper;
    }

    /**
     * MyBatisを使用した脆弱なクエリの例です。
     *
     * @param username ユーザー名
     * @param password パスワード
     * @return ログイン結果 (成功または失敗)
     */
    @PostMapping("/login/vulnerable")
    public String vulnerableLogin(@RequestParam String username, @RequestParam String password) {
        // MyBatisの脆弱なクエリを呼び出し
        boolean isAuthenticated = sqlInjectionMapper.vulnerableAuthenticate(username, password);
        return isAuthenticated ? "ログイン成功 (脆弱な実装)" : "ログイン失敗 (脆弱な実装)";
    }

    /**
     * MyBatisを使用してパラメータ化されたクエリを実行します。
     *
     * @param username ユーザー名
     * @param password パスワード
     * @return ログイン結果 (成功または失敗)
     */
    @PostMapping("/login/secure")
    public String secureLogin(@RequestParam String username, @RequestParam String password) {
        // MyBatisの安全なクエリを呼び出し
        boolean isAuthenticated = sqlInjectionMapper.secureAuthenticate(username, password);
        return isAuthenticated ? "ログイン成功 (安全な実装)" : "ログイン失敗 (安全な実装)";
    }
}

package com.youtube.security.app.security_demo.repository;

import org.apache.ibatis.annotations.Mapper;
import org.apache.ibatis.annotations.Param;
import org.apache.ibatis.annotations.Select;

@Mapper
public interface SqlInjectionMapper {

    /**
     * 脆弱なSQLクエリを実行するメソッド。
     * @param username ユーザー名
     * @param password パスワード
     * @return 認証成功ならtrue、失敗ならfalse
     */
    @Select("SELECT COUNT(*) > 0 FROM users WHERE username = '${username}' AND password = '${password}'")
    boolean vulnerableAuthenticate(@Param("username") String username, @Param("password") String password);

    /**
     * 安全なSQLクエリを実行するメソッド。
     * @param username ユーザー名
     * @param password パスワード
     * @return 認証成功ならtrue、失敗ならfalse
     */
    @Select("SELECT COUNT(*) > 0 FROM users WHERE username = #{username} AND password = #{password}")
    boolean secureAuthenticate(@Param("username") String username, @Param("password") String password);
    
}